前言：2017年12月29日，工信部發布《工業控制系統信息安全行動計劃（2018—2020）》，對于工業控制系統信息安全市場將會起到極大的促進作用。這里為大家獨家奉上中控科技集團創始人、工控安全專家褚健老師對《行動計劃》的深入解讀，以下是正文。
工業控制系統是鋼鐵、石化、電力、核工業、軌道交通、冶金、裝備制造、武器裝備等重點領域的核心中樞，是國家關鍵基礎設施的重要組成部分。工業控制系統信息安全（以下簡稱工控安全）是實施制造強國和網絡強國戰略的重要保障，關系到國家安全、經濟發展和社會穩定。為此，工業和信息化部于2017年12月12日正式印發了《工業控制系統信息安全行動計劃（2018—2020）》（以下簡稱《行動計劃》），明確了未來三年工信部在工控安全方面的工作重點和方向，為全面落實國家安全戰略，提升工業企業工控安全防護能力，加快我國工控安全保障體系建設，促進工業信息安全產業健康發展指明了道路。
1、強化工控安全意識
自2010年伊朗“震網”病毒爆發后，工控系統安全成為網絡空間安全威脅新目標。針對工控系統的攻擊不是單純的“信息竊取”，而是“通過操控工控系統，達到破壞關鍵基礎設施安全運行的目的”，更有甚者引發社會動蕩、危及國家安全。為避免此類攻擊造成的嚴重危害，需要我們全社會增強工控安全意識，工業生產企業、工控系統制造商、工控安全服務商等應形成合力，著力為中國工控安全健康穩定發展保駕護航。
但現實中，部分生產企業運維和管理人員認為，工控系統本身具有網絡分級管理、身份權限認證、建議安裝第三方安全軟件等基本安全規則和功能，工控系統也從未出現過安全威脅、攻擊等問題，因而他們回避風險存在的可能性，簡單地認為工控系統是安全的，無需加強工控安全保護意識和行為。
《行動計劃》明確要求，“到2020年，全系統工控安全管理工作體系基本建立，全社會工控安全意識明顯增強。”同時，《行動計劃》引用了《中華人民共和國網絡安全法》的“三同”規定，即“同步規劃、同步建設、同步運行”，要求工業企業在推進“中國制造2025”、“兩化融合”的同時，統一規劃、分類處理并規范工控安全管理工作，建立多層次多級工控安全管理機制，在新項目審批、老項目改造和項目運維各個環節進行安全監管和審計，全面落實工控安全防護措施和管理制度；并加強企業內部的技術培訓、崗位輔導和相關咨詢活動，提高全員的安全意識；定期開展應急演練，加強對企業安全管理機制的監管和審查。
2、明確工控系統安全實施的復雜性、多樣性
一直以來，業界針對工控系統的安全問題存在兩個誤區。第一，無論是安全檢測還是主動防護，都希望不同行業、不同品牌控制系統的工控安全設施可以通用；第二，因工控系統品牌多、類型多、協議多，總被認為沒有哪個組織愿意投入大量的精力針對如此繁多的工控系統進行攻擊，并認為私有協議也很難被利用。
對此，《行動計劃》明確要求“堅持因地制宜分類指導”，要“準確把握工控安全在不同行業、不同地區的發展基礎和特征，結合工控安全威脅的多樣性和復雜性，分類別、分層次、分步驟精準施策。”《行動計劃》明確指出，針對不同行業、不同地區的工控系統安全要區分實施，這就要求工控安全企業必須在工控安全方向加強探索，更加專業地提供針對性的安全解決方案，幫助工業生產企業真正的解決問題，保障工控系統的安全運行。
3、全社會共同參與，統籌實施工控安全，工控安全不再是“口號”
一是落實企業主體責任。企業應依據《中華人民共和國網絡安全法》建立工控安全責任制，不但明確了其主體責任，還要求企業持續性加大工控安全投入，保障工控安全。
二是落實監督管理責任。工業和信息化部統籌制定工控安全政策標準，開展宣貫培訓，定期組織全國檢查評估。地方工業和信息化主管部門加快工控安全地方性法規建設，持續完善地方工控安全保障體系，加強日常監督管理，安排專項資金推動地方監測、預警、應急等保障能力建設。
三是培育龍頭骨干企業。面向工控安全領域產業發展需求，加快培育一批技術水平高、業務規模大、競爭能力強的工業安全控制系統生產企業和安全服務商，支持龍頭骨干企業突破核心技術，研發關鍵產品、提高服務能力、創新商業模式，聯合工業企業開展優秀產品及解決方案示范，推動工控安全產品及解決方案的行業示范應用落地。
上述三個舉措將工業生產企業、工控安全主管部門、工控系統生產企業、工控安全服務商等四個組織的責任進一步明確。同時，《行動計劃》從安全管理水平、態勢感知能力、安全防護能力、應急處置能力和產業發展能力五個方向進行了全面的規劃和推進，在保障措施上則將在加強組織協調、加大政策支持、加快人才培養、工控安全培訓和技術督導、鼓勵社會參與等諸多方面給予支持，真正做到統籌安排，全社會共同參與。
4、為我國工業信息安全產業健康發展舉旗定向
面對復雜嚴峻的網絡安全形勢，2016年4月19日，習近平總書記在網絡安全與信息化座談會上指出，要“樹立正確的網絡安全觀”、“加快構建關鍵信息基礎設施安全保障體系”、“全天候全方位感知網絡安全態勢”、“增強網絡安全防御能力和威懾能力”。
《行動計劃》結合習近平總書記的講話，在全面研判工控安全產業發展形勢的基礎上，圍繞工控安全態勢感知、安全防護和應急處置能力提升，設立了明確的技術體系目標，并進一步指出要“建成全國在線監測網絡，應急資源庫，仿真測試、信息共享、信息通報平臺（一網一庫三平臺）”。
“一網”是指全國工控安全監測網絡。建設覆蓋國家級、省級、區域級、重點工業企業級的縱向在線監測網絡，加強網絡安全檢查，摸清家底，認清風險，找出漏洞；利用主動監測、被動誘捕、威脅情報獲取等手段，準確把握網絡安全風險發生的規律、動向、趨勢，實現對全國重要工業控制系統運行狀態、風險隱患的實時感知、精準研判和科學決策。
“一庫”是指工控安全應急資源庫。按照《國家網絡安全事件應急預案》總體要求，支持國家級工業信息安全技術機構建設應急資源庫。應急資源庫應包括工控系統漏洞、工控系統病毒特征、工控系統安全威脅、工控系統風險等級、行業工控系統安全解決方案、行業工控系統預警及處置機制等，實現信息采集、輔助決策、預案演練等功能，在突發工業信息安全事件時，支撐行業主管部門協調技術專家和專業隊伍對事件開展分析研判，并調動相關應急資源及時有效地開展處置工作。
“三平臺”是指工控安全仿真測試平臺、信息共享平臺和信息通報平臺。建設工控安全靶場、仿真測試等共性技術平臺，覆蓋在關鍵基礎設施上廣泛使用的工控系統，如發電、變電站控制與電網調度、石油煉化、油氣管道傳輸、安全儀表等（其業務流程、控制方案等與真實現場逼真度高）。基于該平臺開展工控網絡攻防演練、工控安全漏洞挖掘、安全威脅探針感知、安全防護關鍵技術攻關等工作。
鼓勵全社會資源積極參與信息共享工作，建立共享清單，明確共享內容；推動形成政府引導、企業主體、社會參與、利益共享的工作機制；充分利用云計算、大數據等技術手段，建設國家工控安全信息共享平臺，實現信息的安全、可靠、及時共享。
制定《工業信息安全信息報送與通報管理辦法》，建立信息通報員、日常信息通報、應急信息通報、風險預警等制度；建設工控安全信息通報預警平臺，及時發布風險預警信息，跟蹤風險防范工作進展，形成快速高效、各方聯動的信息通報預警體系。
我們認為，《行動計劃》的出臺，是工控安全工作開展和實施的頂層設計，具有高度戰略意義，既明確了產學研用各方責任、今后工作方向和部署，又有效地形成了多方合力，打造高效、快速、聯動的行動方針，為我國實現工業強國和網絡強國戰略的開展奠定了堅實的基礎，全面保障了國民經濟安全有序穩定運行。相信在政府部門的政策引導及實施落地下，在產業發展聯盟、工業生產企業、工控系統制造商、工控安全服務商等相關單位的共同參與和努力下，我國的工控安全體系將進入全面建設階段，更好地做到服務國家利益，保障國家安全。
作者簡介
褚健（1963-），博士，教授，中控科技集團創始人。浙江淳安人，浙江大學和日本京都大學聯合培養，工業自動化專業畢業。教育部首批長江特聘教授；曾任浙江大學工業控制技術國家重點實驗室主任、國家863高技術研究計劃專家委員會專家、國家戰略性新興產業咨詢專家委員會專家、國家核安全專家委員會成員、全國工業過程測量與控制標準化技術委員會主任等職務。
